L’allarme che non possiamo ignorare

Ottobre è il Cybersecurity Awareness Month e, come ogni anno, governi e agenzie spingono le imprese a rafforzare le difese digitali. Ma nel 2025 il messaggio è più netto che mai: le aziende hanno più identità digitali non-umane che persone, e queste stanno diventando il punto di ingresso preferito dagli attaccanti.
API key, certificati TLS, token OAuth, chiavi SSH, credenziali di servizio: sono loro le “chiavi di casa” dimenticate in giro, spesso senza tracciamento né governance. Un problema che non è teorico, ma già all’origine di incidenti globali.

Dai casi reali alle vulnerabilità sistemiche

L’episodio più noto è quello che ha colpito Microsoft: una chiave di firma trafugata ha permesso al gruppo Storm-0558 di creare token validi per accedere alle email di enti governativi.
Non un exploit sofisticato, ma un errore di gestione: chiavi portate in ambienti meno sicuri, debug inadeguato, controlli mancanti.
Negli Stati Uniti, il Cyber Safety Review Board (DHS) ha preso posizione, chiedendo processi più rigorosi sulla governance delle chiavi. In Europa, ENISA e l’European Payments Council ribadiscono la stessa urgenza: rotazione rapida, separazione dei privilegi, gestione crittografica end-to-end.

Numeri che non lasciano dubbi

Le ricerche mostrano un rapporto impressionante: in molte aziende le identità macchina superano quelle umane con un margine di 80 a 1.

- Il 50% ha già subito violazioni legate a chiavi o certificati compromessi;
- Quasi la metà ammette di non avere un approccio centralizzato per gestirle;
- I professionisti IAM giudicano più difficile controllare le identità macchina che quelle umane, per via di processi frammentati e mancanza di ownership.

Dove si annida il rischio maggiore

- Cloud e microservizi → senza mTLS e rotazione automatica, un token dimenticato in un container diventa un cavallo di Troia.
- Pipeline CI/CD → segreti hard-coded in repository e log finiscono per contaminare dataset, ML e sistemi di produzione.
- Code signing → se un certificato di firma viene rubato, gli attaccanti possono distribuire malware perfettamente “legittimo”.

Cosa fare subito: la check-list essenziale

1. Inventario e visibilità in tempo reale.
2. Workload identity by design (SPIFFE/service mesh).
3. Principio del minimo privilegio per ridurre il blast radius.
4. Rotazione automatica e scadenze brevi (giorni, non mesi).
5. Mai segreti nel codice.
6. Monitoraggio comportamentale e revoca istantanea.
7. Policy, ownership e audit continuo.

L’approccio tecnico avanzato (per i CISO e gli addetti ai lavori)

- Zero Trust per workload → autenticazione forte tra microservizi (mTLS, SVID) con CA interna e rotazione frequente.
- Secret management policy-as-code → KMS/HSM, encryption-at-rest e at-use, enforcement di scadenze automatiche.
- Supply chain security → code signing con chiavi in HSM, registri immutabili (SLSA-like), processi di revoca immediata.
- Telemetria centralizzata → log di handshake e uso certificati correlati con sistemi XDR/EDR, playbook SOAR per revoche su più ambienti.

Il Cyber Awareness Month 2025 non è solo una campagna di sensibilizzazione. È un monito: senza una governance seria delle identità macchina, qualsiasi strategia di sicurezza — Zero Trust compresa — è destinata a crollare come un castello di carte.
Chi guida le aziende oggi deve capire che le chiavi digitali sono le nuove chiavi di casa. E che ogni chiave dimenticata è un invito aperto per gli attaccanti.

A cura degli studenti di Giurisprudenza e Ingegneria Informatica